Capacitao

Capacitao IPv6.br

Segurana em IPv6

Segurana rev 2012.07.13-01

Capacitao

Agenda

Objetivos

Lendas

Ferramentas

Neighbor Discovery Protocol

SEND, NDPmon e RA Guard

Endereamento IPv6

Varredura de endereos em IPv6

Firewall

Transio de IPv4 para IPv6

IPSEC

Consideraes Finais
Segurana rev 2012.07.13-01

Capacitao

Objetivos

Introduo a segurana em IPv6

Exerccios para entender e explorar segurana
em IPv6
Mostrar diferenas entre segurana em IPv6 e
IPv4
No sero tratados todos os aspectos de
segurana

Segurana rev 2012.07.13-01

Capacitao

Lendas sobre segurana IPv6

Por ser um assunto relativamente inexplorado

muitas lendas existem
Lendas so baseados em informaes
incompletas ou mal interpretadas

Segurana rev 2012.07.13-01

Capacitao

Lenda 1

IPv6 mais seguro que IPv4 ou IPv4

mais seguro que IPv6
Usados para se argumentar em favor de uma
verso ou de outra do protocolo
Usam-se os mais diversos argumentos na
tentativa de defender um dos dois lados
Podem acontecer cenrios em que um
protocolo possua uma falha que a outra verso
no possui, mas estes cenrios so geralmente
bastante particulares
Segurana rev 2012.07.13-01

Capacitao

Lenda 1

Na prtica possuem segurana e falhas

similares
IPv6 corrigiu alguns problemas conhecidos do
IPv4
IPv6 tem menos utilizao e tempo de debug e
pode possuir novas falhas que podero ser
exploradas

Segurana rev 2012.07.13-01

Capacitao

Lenda 2

IPsec mandatrio no IPv6, por isso, ele mais

seguro que o IPv4
Especificao do IPv6 diz que a incluso do IPsec
mandatria em toda implementao do protocolo
Isto gerou a lenda que a utilizao do IPsec
mandatria, o que no verdade
Discusses recentes sobre IPv6 esto tendendo para
que a incluso do IPsec passe a ser opcional como era
no IPv4, principalmente para que dispositivos portteis
e com processamento e memrias limitados, possam
utilizar IPv6 sem desrespeitar a especificao

Segurana rev 2012.07.13-01

Capacitao

Lenda 3
Se o IPv6 no for implementado na
minha rede, posso ignor-lo
Seguir esta lenda, pode gerar srios
problemas para a sua rede. necessrio se
preocupar com segurana IPv6 mesmo sem
ter IPv6 nativo em sua rede
Os sistemas operacionais atuais possuem
suporte nativo a IPv6 e alguns possuem
preferncia pela utilizao de IPv6

Segurana rev 2012.07.13-01

Capacitao

Lenda 3
Usurios com pouco conhecimento tcnico
conseguem configurar tneis automticos de
IPv6 em IPv4, passando este trfego por sua
rede segura sem ser analisado
IPv6 pode ser usado mesmo que no haja
implementao oficial na sua rede
Existem ataques que exploram o fato do IPv6
ser ignorado

Segurana rev 2012.07.13-01

Capacitao

Lenda 4

IPv6 garante comunicao fim a fim

A especificao do IPv6 prev a comunicao
fim a fim, assim como acontecia com a
especificao do IPv4
Entretanto mecanismos como firewalls e
sistemas de deteco de intruso controlam a
comunicao fim a fim

Segurana rev 2012.07.13-01

Capacitao

Ferramentas

Existem diversas ferramentas para gerao de

ataques e para realizar defesas
Nos laboratrios ser utilizada a ferramenta THCIPv6 (http://www.thc.org/thc-ipv6/) para realizao
de ataques
Para defesa sero utilizadas ferramentas
presentes ou portadas para o Linux, por exemplo,
o NDPMON
Simulao de rede feita com o CORE
(http://cs.itd.nrl.navy.mil/work/core/)

Segurana rev 2012.07.13-01

Capacitao

Falhas, ataques e defesas no IPv6

Falha

Ataque

Defesa

Possibilidade de falsificao do
Neighbor Discovery

Negao de servio impedindo

obteno de endereo IPv6 vlido

SEND, NDPmon

Possibilidade de falsificao do
Router Advertisement

Man-in-the-middle ou negao de
servio por configurao invlida

SEND, RA Guard, NDPmon

Contedo exposto e falta de

autenticao

Man-in-the-middle ou falsificao
de pacotes

IPsec

Varredura de Rede

Crypto-generated Address

Varredura de Rede

Unique Local Addresses

Varredura de Rede

Privacy Addresses

Varredura de Rede

Grande quantidade de endereos

Utilizar MAC na definio do IP

Rastreabilidade de Dispositivos

RFC4941 (random address) e hash por

prefixo de rede

Ignorar ou mal implementar o IPv6

Novidade / Complexidade

Treinamento de equipes

Ignorar ou mal implementar o IPv6

Falta de polticas, treinamentos e

ferramentas

Treinamento de equipes

Ignorar ou mal implementar o IPv6

Tnel automtico

Tnel automtico

Contornar segurana IPv4

Firewall, desabilitar tneis automticos

6to4, Teredo

Fake relay, man in the middle

Firewall, Tunnel Broker, Tnel Manual

Falta de Familiaridade com o Modelo

Fim a Fim

Ataques diretos a vulnerabilidades

Firewall, IDS

Segurana rev 2012.07.13-01

Capacitao

Falhas, ataques e defesas no IPv6

Segurana rev 2012.07.13-01

Capacitao

IPv6 em Sistemas Operacionais

Data

Suporte ao IPv6

IPv6 Habilitado

OpenBSD / NetBSD / FreeBSD

Sim

Sim

Linux Kernel 2.1.6

Sim

No

1997

AIX 4.2

Sim

No

2000

Windows 95/98/ME/NT 3.5/NT 4.0

Sim (pacotes adicionais)

No

Windows 2000

Sim

No

Solaris 2.8

Sim

Sim

2001

Cisco IOS (12.x e superior)

Sim

No

2002

Juniper (5.1 e superior)

Sim

A maioria

IBM z/OS

Sim

Sim

Apple OS/10.3

Sim

Sim

Windows XP

Sim

No

Linux Kernel 2.4

Sim

No

AIX 6

Sim

Sim

IBM AS/400

Sim

Sim

Roteadores Linksys (Mindspring)

Sim

No

Telefones Celulares (Vrios)

Sim

Sim

Solaris 2.10

Sim

Sim

Linux Kernel 2.6

Sim

Sim

Apple Airport Extreme

Sim

Sim

BlackBerry (Telefone Celular)

Sim

No

Windows Vista

Sim

Sim

HP-UX 11iv2

Sim

Sim

Open VMS

Sim

Sim

Mac OS/X Leopard

Sim

Sim

Cloud Computing e Sistemas embarcados

Sim

Sim

1996

Habilitado por
padro em
diversos sistemas
Ignorar IPv6 deixa
mquina exposta

2006

2007

2009

Produtos

Segurana rev 2012.07.13-01

Capacitao

Estatsticas Vulnerabilidades IPv6

National Vulnerability Database / US-Cert: http://web.nvd.nist.gov/

13/07/2012
Segurana rev 2012.07.13-01

Capacitao

ICMPv6

Verso atualizada do ICMPv4, mas no compatvel

Desenvolvido como parte substancial da arquitetura IPv6

Possui funcionalidades para reportar erros no

processamento de pacotes, realizar diagnsticos e enviar
mensagens sobre as caracteristcas da rede, tambm
presentes no ICMPv4
Assume funes de protocolo que existem isoladamente
no IPv4:

ARP (Address Resolution Protocol)

RARP (Reverse Address Resolution Protocol)

IGMP (Internet Group Management Protocol)

Segurana rev 2012.07.13-01

Capacitao

ICMPv6
ARP e RARP operam entre as camadas 2 e 3, enquanto
ICMPv6 funciona inteiramente na camada 3, sendo
encapsulado em pacotes IP
Firewalls na camada de rede exigem ateno extra com
o IPv6, pois podem bloquear funes extremamente
bsicas como a descoberta de vizinhos e a
autoconfigurao
Adiciona os seguintes protocolos e funcionalidades:

MLD (Multicast Listener Discovery)

NDP (Neighbor Discovery Protocol)
Path MTU(Maximum Transfer Unity) Discovery
Mobility Support
Autoconfigurao Stateless
Segurana rev 2012.07.13-01

Capacitao

Neighbor Discovery Protocol (NDP)

Desenvolvido com a finalidade de resolver os problemas

de interao entre os ns vizinhos de uma rede
Utilizado para verificar a presena de outros ns,
determinar os endereos de seus vizinhos, encontrar
roteadores e atualizar informaes sobre rotas
Atua sobre dois aspectos primordiais da comunicao
IPv6, a autoconfigurao de ns e a transmisso de
pacotes
A autoconfigurao de ns, possui trs funcionalidades:

Address Autoconfiguration

Parameter Discovery

Duplicate Address Detection

Segurana rev 2012.07.13-01

Capacitao

Neighbor Discovery Protocol (NDP)

Na transmisso de pacotes entre ns contribui

com o funcionamento de seis processos:

Router discovery

Prefix discovery

Address resolution

Neighbor Unreachability Detection

Redirect

Next-hop Determination

Segurana rev 2012.07.13-01

Capacitao

Neighbor Discovery Protocol (NDP)

Utiliza as seguintes mensagens ICMPv6 para

a realizao de suas tarefas:

Router Solicitation (RS), tipo 133

Router Advertisement (RA), tipo 134

Neighbor Solicitation (NS), tipo 135

Neighbor Advertisement (NA), tipo 136

Redirect, tipo 137

Segurana rev 2012.07.13-01

Capacitao
Deteco de Endereo Duplicado (DAD)

Segurana rev 2012.07.13-01

Capacitao

Negao de Servio com DAD

O ataque consiste em enviar uma resposta de

Neighbor Advertisement para todos os
pacotes de Neighbor Solicitation recebidos
Isto faz com que os endereos de tentativa
nunca sejam validados, pois os dispositivos
iro considerar que os IPs j esto em uso
Sem IP vlido, os novos dispositivos ficam
impedidos de utilizar a rede

Segurana rev 2012.07.13-01

Capacitao

Falsificao do Router Advertisement

Dispositivo que no um roteador envia

mensagens de RA com as possveis
finalidades:

Tornar-se o roteador principal da rede, fazendo

sniffing ou ataque de man-in-the-middle antes de
encaminhar o pacote

Anunciar um roteador falso para criar um buraco

negro, para onde o trfego direcionado, gerando
negao de servio

Segurana rev 2012.07.13-01

Capacitao

Mitigao destes ataque ao NDP

IPv6 possui um protocolo especfico para o

problema, chamado Secure Neighbor
Discovery (SEND)
Pode-se utilizar ferramentas que monitoram o
NDP, por exemplo, NDPmon ou RA Guard
Pode-se utilizar switch inteligente capaz de
rejeitar mensagens de RA em portas que no
possuam um roteador conectado
O IPv4 possu problema similar, o ARP
Spoofing
Segurana rev 2012.07.13-01

Capacitao

SEND (RFC 3971)

Utiliza autenticao dos dispositivos para evitar pacotes

falsificados
O funcionamento depende dos seguintes componentes:

Caminho de Certificao responsvel por garantir a autoridade e

autenticidade dos roteadores antes de aceitar um roteador como
padro

Endereos Criptograficamente Gerados (CGA): garantem que o

originador de uma mensagem o dono do endereo. Necessita
par de chaves pblica-privada para possuir um endereo CGA

Assinatura RSA que garante a integridade e autenticao do

originador e da mensagem

Campos Timestamp e Nonce para evitar ataques do tipo replay

Timestamp: quando uma conexo no est estabelecida

Nonce: mensagens pareadas do tipo Solicitation-Advertisement

Segurana rev 2012.07.13-01

Capacitao

SEND (RFC 3971)

Implementao atravs de um repositrio central global

ou local:

Necessita uma entidade central que valida e autoriza os

roteadores

Para a utilizao do SEND bastaria configurar em todos

os dispositivos com a chave da entidade central

Esta entidade pode ser global sob controle da IANA ou

de maneira cooperativa entre os RIRs (Registros
Regionais), entretanto no existe tal entidade
atualmente

Pode ser criada uma entidade central na rede do

usurio
Segurana rev 2012.07.13-01

Capacitao

SEND (RFC 3971)

Implementao atravs de um modelo mais

descentralizado

Os dispositivos devem possuir uma coleo de chaves

pblicas confiveis

Coleo pode ser gerada dentro da prpria organizao,

pelo provedor de Internet ou por entidade terceirizada

Pode ser necessrio que um dispositivo funcione sem o

SEND caso no possua a chave de um novo roteador
na rede

Falta de suporte e de implementaes impossibilita

utilizao em larga escala

Segurana rev 2012.07.13-01

Capacitao

NDPmon

Monitora todas as mensagens do protocolo

NDP, guardando as informaes recebidas
Caso receba mensagens incoerentes, por
exemplo, tentativa de negao de servio ao
DAD, gera logs e alarmes e pode enviar email
ao administrador da rede
No capaz de agir ativamente na rede para
evitar os ataques

Segurana rev 2012.07.13-01

Capacitao

RA Guard

Somente permite pacotes de Router

Advertisement vindos de portas com
roteadores conectados
Pacotes de Router Advertisement vindos de
outras portas so descartados pelo switch
Necessita que switch implemente esta funo

Segurana rev 2012.07.13-01

Capacitao

Laboratrio

Negao de Servio
Ataque ao NDP

Segurana rev 2012.07.13-01

Capacitao

Endereamento IPv6

Um endereo IPv4 formado por 32 bits

232 = 4.294.967.296
Um endereo IPv6 formado por 128 bits
2128 = 340.282.366.920.938.463.463.374.607.
431.768.211.456
~ 79 octilhes (7,9x1028) de vezes a quantidade
de endereos IPv4

Segurana rev 2012.07.13-01

Capacitao

Endereamento IPv6

A representao dos endereos IPv6, divide o endereo

em oito grupos de 16 bits, separando-os por :, escritos
com dgitos hexadecimais.

2001:0DB8:AD1F:25E2:CADE:CAFE:F0CA:84C1

Na representao de um endereo IPv6 permitido:

Utilizar caracteres maisculos ou minsculos;

Omitir os zeros esquerda; e

Representar os zeros contnuos por ::

ltimos 64 bits previstos para identificao do dispositivos,

permitindo 2 dispositivos por rede

Segurana rev 2012.07.13-01

Capacitao

Varredura de endereos (Scanning)

Tornou-se mais complexo, mas no impossvel

Com uma mascara padro /64 e percorrendo 1
milho de endereos por segundo, seria
preciso mais de 500.000 anos para percorrer
toda a sub-rede
Worms que utilizam varredura como era no
IPv4 para infectar outros dispositivos, tero
dificuldades para continuar se propagando

Segurana rev 2012.07.13-01

Capacitao

Varredura de endereos (Scanning)

Devem surgir novas tcnicas:

Explorar endereos de servidores pblicos

divulgados no DNS

Procura por endereos fceis de memorizar

utilizados por administradores de redes

::10, ::20, ::DAD0, ::CAFE

Low-byte incremental: ::1, ::2, ::3 etc
Endereo IPv4 ou parte dele

Explorar endereos atribudos automaticamente

com base no MAC, fixando a parte do nmero
correspondente ao fabricante da placa de rede
Segurana rev 2012.07.13-01

Capacitao

Combatendo a Varredura

Pode-se utilizar endereos CGA

Endereos IPv6 gerados criptograficamente
utilizando uma funo hash de chaves pblicas

Prefixo /64 da sub-rede

Chave pblica do proprietrio endereo

Parmetro de segurana

Utiliza certificados X.509

Utiliza a funo hash SHA-1

Segurana rev 2012.07.13-01

Capacitao

Combatendo a Varredura

Endereos CGA so difceis de administrar e

identificar qual o IP de cada mquina na rede
Modificaes a RFC (draft-gont-6man-stableprivacy-addresses-01) esto sendo sugeridas
para que os ltimos 64 bits sejam sempre os
mesmos enquanto o dispositivo permanecer na
rede
Ao mudar de rede os ltimos 64 bits so
alterados

Segurana rev 2012.07.13-01

Capacitao

Rastreabilidade de Dispositivos

Quando um dispositivo utiliza autoconfigurao

de endereo, o MAC address usado como
base para a gerao dos ltimos 64 bits
Estes 64 bits so sempre iguais e formam um
identificador nico independente da rede
draft-gont-6man-stable-privacy-addresses-01
tambm enderea esta questo, pois ao mudar
de rede os ltimos 64 bits mudam

Segurana rev 2012.07.13-01

Capacitao

Rastreabilidade de Dispositivos

Estes identificador nico baseado nos 64 bits

permite a criao de um Super Cookie nos
servidores identificando o usurio que iniciou a
conexo sem necessidade de salvar ou verificar
cookies na mquina cliente
Entretanto isto j possvel sem o IPv6
baseando-se em informaes do browser:
https://panopticlick.eff.org/

Segurana rev 2012.07.13-01

Capacitao

Firewall

Numa rede IPv4, onde normalmente se utiliza NAT,

este funciona como um firewall stateful, permitindo
apenas comunicaes originadas de dentro da rede.
Numa rede IPv6 no h NAT, ento, se o
administrador de rede decidir manter uma poltica de
segurana similar a que utilizava com o IPv4,
necessrio um cuidado redobrado na implantao de
firewalls, a fim de forar essa poltica.
Com a adoo do protocolo IPv6 todos os hosts
podem utilizar endereos vlidos com conectividade
direta a Internet e alcance a todos os hosts da rede
interna que tenham IPv6 habilitado
Segurana rev 2012.07.13-01

Capacitao

Firewall

ICMPv6 faz funes que no IPv4 eram

realizadas pelo ARP, logo o ICMPv6 no pode
ser completamente bloqueado no firewall de
borda como ocorria no IPv4
O firewall pode ser:

Statefull: solicitaes da rede interna para a rede

externa so gravadas para permitir o recebimento
somente de solicitaes feitas, mas necessita
maior processamento e memria

Stateless: conjunto de regras fixas, pode permitir

mensagens no solicitadas de trfego permitido
Segurana rev 2012.07.13-01

Capacitao

Firewall

Recomendaes de Firewall baseadas na RFC

4890, detalhada em: NIST SP 800-119,
Guidelines for the Secure Deployment of IPv6,
December 2010 http://csrc.nist.gov/publications/PubsSPs.html
Entretanto existem discusses de que essa
RFC no foi pensada por administradores de
redes corporativas, e que permissiva demais
para essa utilizao

Segurana rev 2012.07.13-01

Capacitao

Firewall Regras ICMPv6

Segurana rev 2012.07.13-01

Capacitao

Firewall Regras ICMPv6

Segurana rev 2012.07.13-01

Capacitao

Firewall Regras ICMPv6

Segurana rev 2012.07.13-01

Capacitao

Transio de IPv4 para IPv6

O IPv6 foi concebido para funcionar junto o IPv4 em

pilha dupla
Isto no ocorreu e outras tcnicas de transio foram
concebidas (tneis, tradues etc)
Transio de IPv4 para IPv6 abre brechas de segurana
quando:

Rede IPv4 ignora a existncia de IPv6, pois computadores

e equipamentos que suportam IPv6 podem se comunicar
em IPv6 evitando a segurana implementada para IPv4

Tneis automticos so ignorados e a rede IPv4 no trata

pacotes encapsulados, permitindo um atacante acessar a
rede evitando a segurana IPv4 ou um usurio dentro da
rede acessar contedo ou redes que seriam bloqueadas
se o acesso fosse via IPv4
Segurana rev 2012.07.13-01

Capacitao

Transio de IPv4 para IPv6

Tcnicas de transio podem ser alvo de

ataques. 6to4 e Teredo, por exemplo, dependem
de servidores pblicos para a criao do tnel
que transporta IPv6 dentro de IPv4

Estes servidores no possuem garantia de qualidade

e de confiabilidade e podem agir maliciosamente,
como sniffer ou man-in-the-middle

Podem sofrer de indisponibilidade agindo como

buracos negros

Pacotes podem ser facilmente forjados (spoofados)

Segurana rev 2012.07.13-01

Capacitao

Transio de IPv4 para IPv6

A RFC 4942 detalha a segurana com relao as

tcnicas de transio:

mesmo que sua rede no tenha IPv6, no o ignore

se voc no deseja utilizar tcnicas de tunelamento

automtico na sua rede, elas devem ser bloqueadas
no firewall

tcnicas de transio podem depender de servidores

pblicos no confiveis

Segurana rev 2012.07.13-01

Capacitao

Laboratrio

Firewall

Segurana rev 2012.07.13-01

Capacitao

IPSEC

Especificao IPv4 definiu que os dados enviados

em um pacote IP no receberiam, nesta camada,
qualquer tipo de ofuscamento ou criptografia
Caso esta proteo fosse necessria, caberia
camada de aplicao esta responsabilidade
A autenticidade do pacote tambm no foi prevista
na concepo do protocolo IP, por exemplo, o
endereo IP de origem contido no pacote pode ser
alterado ou falsificado e o dispositivo destino no
ter como validar sua autenticidade

Segurana rev 2012.07.13-01

Capacitao

IPSEC

IPSec uma suite de protocolos

Visa prover servios de segurana como
autenticao, integridade e confidencialidade
Os servios so providos na camada IP e
oferecem proteo s camadas superiores
A arquitetura do IPSEC foi originalmente
especificada na RFC2401 em 1998 e
posteriormente atualizada pela RFC4301 em
2005

Segurana rev 2012.07.13-01

Capacitao

IPSEC

IPsec possui dois modos de operao

Modo Tnel

Modo Transporte

IPsec possui dois protocolos:

AH (Authentication Header - Cabealho de

Autenticao)

ESP (Encapsulated Security Payload - Dados

Encapsulados com Segurana)

Segurana rev 2012.07.13-01

Capacitao

IPSEC Modo Transporte

Tem o objetivo de realizar IPSEC entre dois

pontos
Configurao do IPSEC feita em cada um dos
dispositivos
Para cada comunicao IPSEC um par de
configuraes deve ser realizado
Apesar de ser ponto a ponto pode passar por
outros ns da rede

Segurana rev 2012.07.13-01

Capacitao

IPSEC Modo Tnel

Tem o objetivo de utilizar IPSEC para todo o

trfego que ir sair da rede local
Ao invs de configurar todos os dispositivos
para utilizar IPSEC, esta configurao feita
somente nos roteadores de borda que
encapsulam o pacote original
Ao chegar ao roteador de borda do destino o
pacote desencapsulado

Segurana rev 2012.07.13-01

Capacitao

IPSEC Transporte x Tnel

Segurana rev 2012.07.13-01

Capacitao

IPSEC Transporte x Tnel

Segurana rev 2012.07.13-01

Capacitao

IPSEC Transporte x Tnel

Segurana rev 2012.07.13-01

Capacitao

IPSEC Authentication Header

Segurana rev 2012.07.13-01

Capacitao

IPSEC Encapsulated Security Payload

Segurana rev 2012.07.13-01

Capacitao

IPSEC Troca de chaves

Um ponto fundamental para o funcionamento do

IPSEC so as chaves para autenticao,
integridade e criptografia
necessrio que os dois lados saibam as
chaves que devem ser usadas
Um ponto recorrente quando se fala de
criptografia como trocar as chaves por um
meio que ainda no est seguro
As ideias bsicas de utilizar outro meio como
telefone ou email criptografado so vlidas, mas
necessitam de interveno humana
Segurana rev 2012.07.13-01

Capacitao

IPSEC Troca de chaves

O IPSEC sugere a utilizao do protocolo IKE que

resolve a maior parte dos possveis ataques. O
protocolo IKE trabalha de dois modos:

chaves pr-compartilhadas

certificados X.509

O protocolo IKE trabalha em duas fases:

Fase 1: a autenticidade dos dispositivos verificada,

atravs de uma srie de mensagens trocadas, e uma chave
ISAKMP SA (Internet Security Association Key
Management Security Associantion) gerada

Fase 2: a partir da ISAKMP SA as chaves para o AH e ESP

para esta comunicao so geradas e o IPSEC comea a
ser utilizado
Segurana rev 2012.07.13-01

Capacitao

Laboratrio

IPSEC

Segurana rev 2012.07.13-01

Capacitao

Consideraes finais

Segurana em IPv6 um assunto que ainda tem

bastante a evoluir, mas algo que foi buscado na
criao do protocolo, diferentemente do IPv4
Boas prticas so baseadas em IPv4 e tero de ser
modificas quando o IPv6 estiver em mais larga
escala
O fato do IPv6 ser mais novo pode levar a novos
ataques que no haviam sido pensados
anteriormente
No h razo para temer a segurana em IPv6 e
informao e treinamento so as melhores
maneiras de proteger sua rede
Segurana rev 2012.07.13-01